Назад | Перейти на главную страницу

Следует ли использовать iptables с экземплярами EC2?

Вы можете использовать ec2-authorize, чтобы указать, какой трафик разрешить вашему экземпляру ec2. По-прежнему ли стоит запускать iptables или это вносит ненужные сложности?

Некоторые причины, по которым вы можете рассмотреть возможность активации iptables:

  • можно использовать для блокировки исходящих троянов, например, блокировать исходящий SMTP 25, и вы обеспечиваете защиту от троянов-спама
  • что, если Amazon по какой-то причине отключил брандмауэр Amazon случайно?
  • что, если экземпляр запущен с неподходящей группой безопасности или возникла проблема с конфигурацией группы безопасности?

Активация iptables обеспечивает глубокую защиту и ее легко настроить, например, с помощью ufw:

sudo ufw default allow
sudo ufw enable
sudo ufw allow 22/tcp    # allow ssh
sudo ufw default deny

# sudo ufw allow 80/tcp   # uncomment this line to allow incoming http
# sudo ufw allow 443/tcp  # uncomment this line to allow incoming https

(примечание: это не блокирует исходящий smtp, но показывает, что получение базовой настройки конфигурации iptables довольно безболезненно, и затем вы можете настроить это, если вам нравится vi /etc/ufw/*.rules)

Я бы сказал, это зависит от того, насколько вы параноик. Я лично использую двухэтапный подход в своих сетях: есть глобальный брандмауэр, который блокирует большинство плохих вещей, а затем каждый хост запускает какой-то тип локального брандмауэра, соответствующий его цели в жизни.

Похоже, что ec2-authorize очень похож на брандмауэр для каждого хоста. Я бы настроил его, закинул на него несколько плохих пакетов и посмотрел, что произойдет. Я подозреваю, что этого достаточно.